如果你找到了一個(gè)蘋果的致命漏洞，原本可以獲得230萬人民幣的賞金，蘋果卻只給了11萬，你會(huì)是什么一種感受?

近日，一名名叫Laxman Muthiyah的印度程序員發(fā)文稱，他成功找到了iCloud賬戶的一個(gè)致命漏洞，提交給蘋果公司后，原先可獲得35萬美元的賞金，變成了1.8萬美元。十分氣憤的他拒收了賞金，并表示“蘋果的漏洞獎(jiǎng)賞機(jī)制太不公開透明了，我寧愿免費(fèi)分享我的研究。”

事情的經(jīng)過到底是怎樣的?

發(fā)現(xiàn)iCloud致命漏洞

Laxman Muthiyah是一名來自印度的白帽黑客。

這里稍微科普一下，白帽黑客指的是站在黑客的角度攻擊系統(tǒng)，進(jìn)行安全漏洞排查的程序員。

一直以來Laxman Muthiyah致力于幫助各大平臺(tái)尋找漏洞，并以此獲得賞金。

今年3月4日，他因?yàn)榘l(fā)現(xiàn)了微軟賬戶中容易被劫持的漏洞，而獲得微軟5萬美元的獎(jiǎng)賞。

這并不是他發(fā)現(xiàn)的第一個(gè)漏洞。早之前，他發(fā)現(xiàn)了instagram賬戶中的一個(gè)漏洞。這個(gè)漏洞可以在賬戶所有者未經(jīng)許可的情況下，入侵任何賬戶。Muthiyah將漏洞提交給了Facebook，因此他獲得了3萬美元的賞金。

Muthiyah因發(fā)現(xiàn)漏洞而獲獎(jiǎng)的事情，還有很多。

去年，他想測(cè)試一下iCloud賬戶是否存在安全漏洞。

經(jīng)過不懈地努力，他真的發(fā)現(xiàn)了一個(gè)安全問題：黑客可以利用Apple ID找回密碼這個(gè)功能，成功入侵任何一個(gè)iCloud賬戶。

他是怎么做到的呢?

我們得從Apple ID找回密碼這個(gè)功能說起。

如果你想要修改蘋果賬戶的密碼，往往需要用手機(jī)或者郵箱接收一個(gè)6位數(shù)的驗(yàn)證碼。

在不知道驗(yàn)證碼的情況下，如果想要暴力破解幾乎不可能，6位數(shù)的驗(yàn)證碼有100萬種可能性，而且蘋果還設(shè)置了規(guī)則，如果連續(xù)輸入驗(yàn)證碼錯(cuò)誤5次，賬戶會(huì)被鎖定。

似乎在這樣的機(jī)制下，黑客只能盲猜驗(yàn)證碼去修改密碼，拿到賬戶控制權(quán)了。

但技術(shù)高超的Muthiyah使用了黑客手段，輕松地破解了iCloud賬戶。

具體方法是這樣的，首先他嘗試向Apple服務(wù)器發(fā)送大量的POST請(qǐng)求。

幾經(jīng)嘗試，他發(fā)現(xiàn)如果發(fā)送超過6個(gè)POST請(qǐng)求，IP便會(huì)被拉黑，之后再發(fā)送POST請(qǐng)求，就會(huì)出現(xiàn)503錯(cuò)誤。

他還發(fā)現(xiàn)，在“忘記密碼”頁面一共出現(xiàn)了6個(gè)IP地址。也就是說，單個(gè)IP地址跨6個(gè)Apple服務(wù)器地址的話，就可以發(fā)送36個(gè)請(qǐng)求。

簡單計(jì)算一下，找到正確的驗(yàn)證碼，大概需要28000個(gè)IP地址。

看起來好像還是很難，但I(xiàn)P地址從來都不會(huì)成為黑客們的阻礙。

通過使用28000個(gè)IP地址，對(duì)驗(yàn)證碼進(jìn)行嘗試，Muthiyah真的破解了iCloud賬戶的密碼!

黑客可以輕易拿到任何一個(gè)賬戶的密碼，意味著其中的所有信息，都將泄露，這是一個(gè)非常致命的安全漏洞!

Muthiyah成功破解后非常興奮，立馬將這一漏洞提交給了Apple安全團(tuán)隊(duì)。

賞金縮水95%

根據(jù)Apple官網(wǎng)上顯示的關(guān)于找到漏洞的懸賞規(guī)則，如果有人找出涉及iCloud賬戶的漏洞，賞金可以高達(dá)10萬美元，如果找到上鎖Apple設(shè)備上提取用戶數(shù)據(jù)的漏洞，可以獲得25萬美元賞金。

Muthiyah發(fā)現(xiàn)的這一漏洞，將為他帶來35萬美元的收入。

但事情并沒有朝他想的那樣發(fā)展。

起先Apple團(tuán)隊(duì)很積極地恢復(fù)了Muthiyah所提到的漏洞。

結(jié)果Apple好像開始磨起洋工。不僅沒有支付相關(guān)的賞金，甚至連這一致命漏洞都沒有修復(fù)，Muthiyah不斷地聯(lián)系，時(shí)隔10個(gè)月后，Apple才將這個(gè)漏洞的補(bǔ)丁發(fā)布到生產(chǎn)環(huán)境中，但Apple還是沒更新。

Muthiyah實(shí)在忍無可忍，他直接給Apple團(tuán)隊(duì)寫了一封郵件，表示將在自己的博客上公布這一漏洞。

Apple還非常友善地表示，發(fā)布之前可以先將稿子發(fā)來看看。

當(dāng)Apple技術(shù)團(tuán)隊(duì)看完稿子后，完全否認(rèn)了他的看法，認(rèn)為這個(gè)漏洞并不致命，只有非Apple設(shè)備上的iCloud賬戶才會(huì)遭到攻擊，絕大部分用戶是不會(huì)受到影響的。

Muthiyah感到非常失望，于是他不管Apple是否同意，一定要將這一漏洞發(fā)布在自己的博客上。

這時(shí)Apple團(tuán)隊(duì)給他發(fā)來了一封懸賞郵件，郵件里肯定了他的行為，但也表示，只能支付給他1.8萬美元，合約11萬人民幣的獎(jiǎng)勵(lì)。

對(duì)于蘋果的做法，Muthiyah簡直要?dú)庹?，十分干脆地拒絕了這筆獎(jiǎng)賞。

對(duì)于這一次的經(jīng)歷，Muthiyah表示希望蘋果的安全團(tuán)隊(duì)，更更加公開、透明地讓白帽黑客們，了解發(fā)現(xiàn)漏洞具體的賞金金額。